구독에 NSG1이라는 NSG(기본 규칙 있음)와 연결된 단일 NIC(NIC1)가 있는 VM1이라는 VM이 포함되어 있습니다. VM1은 Windows Server 2022를 실행합니다. 관리 오버헤드를 최소화하면서 VM1에서 Azure Instance Metadata Service(IMDS) REST API로의 액세스를 차단해야 합니다. NSG1에 무엇을 추가해야 합니까?

IMDS(Instance Metadata Service)는 잘 알려진 비라우팅 가능 IP 주소인 169.254.169.254를 사용합니다. 이 주소로의 아웃바운드 트래픽을 차단하면 IMDS 액세스를 효과적으로 막을 수 있습니다. Azure NSG는 서비스 태그를 지원하며, 'InstanceMetadata' 서비스 태그는 이 특정 IP 주소를 나타냅니다. 따라서 'InstanceMetadata' 서비스 태그로의 아웃바운드 트래픽을 거부하는 규칙을 추가하는 것이 관리 오버헤드를 최소화하면서 IMDS 액세스를 차단하는 가장 효율적인 방법입니다. 인바운드 규칙은 VM으로 들어오는 트래픽을 제어하므로 IMDS 호출(아웃바운드)을 차단하는 데는 효과가 없습니다. IP 주소로 직접 차단하는 것도 가능하지만, 서비스 태그를 사용하는 것이 더 추상적이고 관리하기 쉽습니다. 애플리케이션 보안 그룹은 애플리케이션 계층에서 트래픽을 제어하므로 이 시나리오에는 적합하지 않습니다.